共54个高频请求/响应头字段，按缓存、压缩、安全、CORS、转发、分段下载分类，附常见取值与配置要点。输入关键词即时过滤。
| 字段 | 方向 | 含义 | 常见取值与要点 |
|---|---|---|---|
| Cache-Control | 响应/请求 | 缓存策略（最常用） | no-cache / max-age=3600 / no-store / public,private |
| Expires | 响应 | 过期时间（HTTP/1.0遗留） | GMT日期；有Cache-Control:max-age时被忽略 |
| ETag | 响应 | 资源版本标识，配合协商缓存 | 强校验哈希或weak W/"…" |
| If-None-Match | 请求 | 携带上次ETag协商缓存 | 命中返回304省流量 |
| Last-Modified | 响应 | 资源最后修改时间 | GMT日期，秒级精度 |
| If-Modified-Since | 请求 | 携带上次修改时间协商缓存 | 未修改返回304 |
| Content-Type | 响应/请求 | 媒体类型与字符集 | text/html; charset=utf-8，见MIME速查 |
| Content-Length | 响应/请求 | 实体字节数 | 与Transfer-Encoding互斥 |
| Content-Encoding | 响应 | 实体压缩算法 | gzip / br / deflate |
| Accept-Encoding | 请求 | 客户端支持的压缩算法 | gzip, deflate, br |
| Transfer-Encoding | 响应 | 传输编码 | chunked 分块传输（流式） |
| Accept | 请求 | 客户端可接受的媒体类型 | text/html,application/xhtml+xml,… |
| Accept-Language | 请求 | 语言偏好 | zh-CN,zh;q=0.9 |
| Vary | 响应 | 缓存需按哪些请求头区分副本 | Accept-Encoding（压缩版本分开缓存） |
| Strict-Transport-Security | 响应 | HSTS强制HTTPS | max-age=31536000; includeSubDomains |
| Content-Security-Policy | 响应 | CSP资源加载白名单，防XSS | default-src 'self' |
| X-Content-Type-Options | 响应 | 禁止MIME嗅探 | 固定值 nosniff |
| X-Frame-Options | 响应 | 防点击劫持（iframe嵌套控制） | DENY / SAMEORIGIN |
| Referrer-Policy | 响应 | Referer携带策略 | no-referrer / strict-origin-when-cross-origin |
| Permissions-Policy | 响应 | 限制浏览器特性（摄像头等） | geolocation=(), camera=() |
| Set-Cookie | 响应 | 下发Cookie | 加 HttpOnly; Secure; SameSite=Lax |
| Cookie | 请求 | 携带Cookie | 会话凭证，勿存敏感明文 |
| Authorization | 请求 | 认证凭证 | Bearer token / Basic base64 |
| WWW-Authenticate | 响应 | 401时告知认证方式 | Bearer realm="api" |
| Access-Control-Allow-Origin | 响应 | CORS允许的源 | 指定域名，慎用 *（带凭证时禁止） |
| Access-Control-Allow-Methods | 响应 | CORS允许的方法 | GET,POST,PUT,DELETE,OPTIONS |
| Access-Control-Allow-Headers | 响应 | CORS允许的请求头 | Content-Type,Authorization |
| Origin | 请求 | 跨域请求来源 | 协议+主机+端口，浏览器自动附加 |
| Host | 请求 | 目标主机名（HTTP/1.1必带） | 虚拟主机分发依据 |
| User-Agent | 请求 | 客户端标识 | UA解析工具可拆解 |
| Referer | 请求 | 来源页URL | 防盗链依据；拼写系历史遗留 |
| Connection | 请求/响应 | 连接管理 | keep-alive / close |
| X-Forwarded-For | 请求 | 代理链真实客户端IP | CDN/反代后取真实IP必查，可伪造需取信任段 |
| X-Forwarded-Proto | 请求 | 原始协议 | https；反代终止TLS后判断协议 |
| X-Real-IP | 请求 | 真实客户端IP（Nginx惯例） | 同样可伪造，仅信任自家代理 |
| Via | 请求/响应 | 经过的代理列表 | 排查链路 |
| Forwarded | 请求 | X-Forwarded-*的标准化替代 | for=1.2.3.4;proto=https |
| Range | 请求 | 分段下载 | bytes=0-1023，断点续传/视频拖动 |
| Content-Range | 响应 | 分段响应范围 | bytes 0-1023/5000，配206 |
| If-Range | 请求 | 资源未变才分段 | 配ETag/Last-Modified |
| Accept-Ranges | 响应 | 是否支持分段请求 | bytes / none |
| Content-Disposition | 响应 | 展示或下载 | attachment; filename*=UTF-8''%E6%96%87%E4%BB%B6.zip |
| Expect | 请求 | 先探测再发实体 | 100-continue（大上传） |
| DNT | 请求 | 请勿追踪（无强制力） | 1 |
| Server | 响应 | 服务器软件标识 | 生产建议隐藏或改马甲，减少信息泄露 |
| X-Powered-By | 响应 | 后端框架标识 | 建议移除（PHP/Express指纹） |
| Location | 响应 | 重定向目标 | 配301/302/307 |
| Retry-After | 响应 | 限流后重试等待 | 429/503配秒数或日期 |
| Link | 响应 | 关联资源 | rel="preload"/"canonical"（分页SEO也用它） |
| Alt-Svc | 响应 | 备用服务协议通告 | HTTP/3升级 h3=":443" |
| Upgrade | 请求/响应 | 协议升级 | websocket / HTTP/2 |
| Date | 响应 | 服务器时间 | GMT；时钟偏差超15分钟会致签名/证书校验失败 |
| Age | 响应 | CDN缓存已存秒数 | 判断边缘缓存新鲜度 |
| X-Cache | 响应 | CDN缓存命中（厂商自定义） | HIT / MISS，排查回源 |
表格可左右滑动查看
50余个高频请求/响应头，按用途分组：缓存（Cache-Control/ETag/Vary）、压缩（Accept-Encoding/Content-Encoding）、安全（CSP/HSTS/XFO）、跨域（Access-Control系列）、内容协商与客户端信息（UA/Accept/Referer），每条附含义、典型取值与配置要点。
有。需要可直接部署的配置代码时用安全响应头生成器（/tools/sechead-gen）交互式生成HSTS/CSP/XFO的Nginx/Apache片段；本速查表侧重理解字段语义。